Homeserver-Sicherheitsarchitektur - Versionsgeschichte

Admin: /* Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose */

2026-05-27T23:54:01Z

Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose

← Nächstältere Version		Version vom 27. Mai 2026, 23:54 Uhr
Zeile 2:		Zeile 2:

	Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.		Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.
	Es gibt verschiedene Anbieter, oft auch kostenlose.		Es gibt hier verschiedene Anbieter, oft auch kostenlose.

	Beispiel: Der eigenen, von außen sichtbaren IP 78.123.234.45 wird vom DynDDS-Dienst die Domain <myhomeserver.dyndns.de> zugewiesen.		'''Beispiel:''' Der eigenen, von außen sichtbaren IP 78.123.234.45 wird vom DynDDS-Dienst die Domain <myhomeserver.dyndns.de> zugewiesen.
	Einmal eingerichtet, wird der eigene Rechner antworten, wenn die Domain http://myhomeserver.dyndns.de in die Browser-Adressleiste einkopiert wird.		Einmal eingerichtet, wird der eigene Rechner antworten, wenn die Domain http://myhomeserver.dyndns.de in die Browser-Adressleiste einkopiert wird. Bei mir war damals die Freude darüber groß.

	=== Motivation für einen Server mit OPNsense, Managed Switch und Docker ===		=== Motivation für einen Server mit OPNsense, Managed Switch und Docker ===

Admin: /* Sicherheitshinweise */

2026-05-27T23:51:30Z

Sicherheitshinweise

← Nächstältere Version		Version vom 27. Mai 2026, 23:51 Uhr
Zeile 343:		Zeile 343:

	* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! Sollte das keine Option sein: VPN-Tunnel!		* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! Sollte das keine Option sein: VPN-Tunnel!
	* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen)		* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen).
	* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine(!) externen Freigaben!'''		* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine(!) externen Freigaben!'''
	* DHCP-Reservations per MAC-Adresse oder statische IP-Adressen verhindern IP-Wechsel nach Neustarts		* DHCP-Reservations per MAC-Adresse oder statische IP-Adressen verhindern IP-Wechsel nach Neustarts.
	* Bei Firewall-Regeln: Block-Regeln '''immer''' vor Pass-Regeln platzieren		* Bei Firewall-Regeln: Block-Regeln '''immer''' vor Pass-Regeln platzieren.

	Abschließend eine absolute Regel, die immer und durch die Ewigkeiten gilt:		Abschließend eine absolute Regel, die immer und durch die Ewigkeiten gilt:

Admin: /* Sicherheitshinweise */

2026-05-27T23:50:55Z

Sicherheitshinweise

← Nächstältere Version		Version vom 27. Mai 2026, 23:50 Uhr
Zeile 344:		Zeile 344:
	* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! Sollte das keine Option sein: VPN-Tunnel!		* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! Sollte das keine Option sein: VPN-Tunnel!
	* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen)		* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen)
	* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine externen Freigaben'''		* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine(!) externen Freigaben!'''
	* DHCP-Reservations per MAC-Adresse oder statische IP-Adressen verhindern IP-Wechsel nach Neustarts		* DHCP-Reservations per MAC-Adresse oder statische IP-Adressen verhindern IP-Wechsel nach Neustarts
	* Bei Firewall-Regeln: Block-Regeln '''immer''' vor Pass-Regeln platzieren		* Bei Firewall-Regeln: Block-Regeln '''immer''' vor Pass-Regeln platzieren

Admin: /* Sicherheitshinweise */

2026-05-27T23:50:10Z

Sicherheitshinweise

← Nächstältere Version		Version vom 27. Mai 2026, 23:50 Uhr
Zeile 342:		Zeile 342:
	== Sicherheitshinweise ==		== Sicherheitshinweise ==

	* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! ~~Wenn~~ das ~~nicht geht~~: VPN-Tunnel!		* SSH-Ports '''nicht''' über das Internet freigeben — nur intern erreichbar lassen! Sollte das keine Option sein: VPN-Tunnel!
	* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen)		* Portweiterleitung im Router auf das '''Minimum''' beschränken (nur die Ports 80 + 443 öffnen)
	* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine externen Freigaben'''		* Für interne Admin-Interfaces (OPNsense Web-UI, Monitoring) '''keine externen Freigaben'''

Admin: /* Annahmen / Szenario */

2026-05-27T23:47:33Z

Annahmen / Szenario

← Nächstältere Version		Version vom 27. Mai 2026, 23:47 Uhr
Zeile 40:		Zeile 40:
	** Betriebssystem: Debian/Ubuntu oder vergleichbar		** Betriebssystem: Debian/Ubuntu oder vergleichbar
	** Docker mit mehreren Diensten (z.B. WordPress, Nextcloud, MediaWiki)		** Docker mit mehreren Diensten (z.B. WordPress, Nextcloud, MediaWiki)
	** Caddy als Reverse Proxy (alternativ funktionieren [https://nginx.org/ nginx], [https://httpd.apache.org/ Apache], oder (ggf. kostenpflichtige) proprietäre Lösungen. Caddy allerdings hat das für mich charmante Feature, sich eigenständig um die TSL-Zertifikate und ihre Verlängerung bei LetsEncrypt zu kümmern. Wer aufgrund "zu vieler" Fehlversuche ~~bei~~ der Zertifikats-Einrichtung von LetsEncrypt auf Tage gesperrt wurde, wird mein Faible über diesen Automatismus ~~nachvollziehen oder~~ teilen ~~können.~~)		** Caddy als Reverse Proxy (alternativ funktionieren [https://nginx.org/ nginx], [https://httpd.apache.org/ Apache], oder (ggf. kostenpflichtige) proprietäre Lösungen. Caddy allerdings hat das für mich charmante Feature, sich eigenständig um die TSL-Zertifikate und ihre Verlängerung bei LetsEncrypt zu kümmern. Wer schon einmal aufgrund "zu..." vieler unbeabsichtigter Fehlversuche während der Zertifikats-Einrichtung von LetsEncrypt auf Tage gesperrt wurde, wird mein Faible über diesen Automatismus teilen!)
	** fail2ban als Brute-Force-Schutz		** fail2ban als Brute-Force-Schutz

Admin: /* Motivation für einen Server mit OPNsense, Managed Switch und Docker */

2026-05-27T23:44:52Z

Motivation für einen Server mit OPNsense, Managed Switch und Docker

← Nächstältere Version		Version vom 27. Mai 2026, 23:44 Uhr
Zeile 12:		Zeile 12:
	Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.		Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.

	Kurz: ~~Die~~ öffentliche Erreichbarkeit des eigenen Servers über die ungesicherte Adresse...		Kurz: Eine öffentliche Erreichbarkeit des eigenen Servers über die ungesicherte Adresse...

	* http://myhomeserver.dyndns.de		* http://myhomeserver.dyndns.de

	...~~ist~~ fahrlässig.		...wäre hochgradig fahrlässig.

	Aufgrund einer mangelhaften Konfiguration (offener Samba-Port) hatte ich die sehr reale Erfahrung einer russischen Hackerbande, die einige Hundert Textdateien mit Zahlungsaufforderungen und einen Verschlüsselungstrojaner auf meinem Rechner hinterlassen hatte. Gerettet hatten mich damals die Dateirechte von Linux. Das fehlende E(x)ecutional-Flag und die eingeschränkten Benutzerrechte hatten den Trojaner ausgebremst.		Aufgrund einer mangelhaften Konfiguration (offener Samba-Port) hatte ich die sehr reale Erfahrung einer russischen Hackerbande, die einige Hundert Textdateien mit Zahlungsaufforderungen und einen Verschlüsselungstrojaner auf meinem Rechner hinterlassen hatte. Gerettet hatten mich damals die Dateirechte von Linux. Das fehlende E(x)ecutional-Flag und die eingeschränkten Benutzerrechte hatten den Trojaner ausgebremst.

Admin: /* Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose */

2026-05-27T23:43:44Z

Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose

← Nächstältere Version		Version vom 27. Mai 2026, 23:43 Uhr
Zeile 11:		Zeile 11:
	Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar.		Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar.
	Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.		Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.
	Die öffentliche Erreichbarkeit des eigenen Servers über die ungesicherte Adresse...
			Kurz: Die öffentliche Erreichbarkeit des eigenen Servers über die ungesicherte Adresse...

	* http://myhomeserver.dyndns.de		* http://myhomeserver.dyndns.de

	...ist fahrlässig.		...ist fahrlässig.

Admin: /* Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker */

2026-05-27T23:43:04Z

Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker

← Nächstältere Version		Version vom 27. Mai 2026, 23:43 Uhr
Zeile 7:		Zeile 7:
	Einmal eingerichtet, wird der eigene Rechner antworten, wenn die Domain http://myhomeserver.dyndns.de in die Browser-Adressleiste einkopiert wird.		Einmal eingerichtet, wird der eigene Rechner antworten, wenn die Domain http://myhomeserver.dyndns.de in die Browser-Adressleiste einkopiert wird.

	=== ~~Ein Leitfaden~~ für ~~selbst gehostete~~ Server mit OPNsense, Managed Switch und Docker ===		=== Motivation für einen Server mit OPNsense, Managed Switch und Docker ===

	Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar.		Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar.

Admin: /* Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose */

2026-05-27T23:41:44Z

Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose

← Nächstältere Version		Version vom 27. Mai 2026, 23:41 Uhr
Zeile 3:		Zeile 3:
	Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.		Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.
	Es gibt verschiedene Anbieter, oft auch kostenlose.		Es gibt verschiedene Anbieter, oft auch kostenlose.
	Einmal eingerichtet,
			Beispiel: Der eigenen, von außen sichtbaren IP 78.123.234.45 wird vom DynDDS-Dienst die Domain <myhomeserver.dyndns.de> zugewiesen.
			Einmal eingerichtet, wird der eigene Rechner antworten, wenn die Domain http://myhomeserver.dyndns.de in die Browser-Adressleiste einkopiert wird.

	=== Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker ===		=== Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker ===

	Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar. Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.		Die Kehrseite: Sowie der Server über's Internet erreichbar ist, ist er angreifbar.
			Das ist kein theoretisches Szenario. Meiner Erfahrung nach ist es eine Frage von Stunden, bis die ersten Bots "anklopfen", nach laufenden Diensten suchen, nach offenen Ports, nach Schwachstellen.
			Die öffentliche Erreichbarkeit des eigenen Servers über die ungesicherte Adresse...
			* http://myhomeserver.dyndns.de
			...ist fahrlässig.

	Aufgrund einer mangelhaften Konfiguration (offener Samba-Port) hatte ich die sehr reale Erfahrung einer russischen Hackerbande, die einige Hundert Textdateien mit Zahlungsaufforderungen und einen Verschlüsselungstrojaner auf meinem Rechner hinterlassen hatte. Gerettet hatten mich damals die Dateirechte von Linux. Das fehlende E(x)ecutional-Flag und die eingeschränkten Benutzerrechte hatten den Trojaner ausgebremst.		Aufgrund einer mangelhaften Konfiguration (offener Samba-Port) hatte ich die sehr reale Erfahrung einer russischen Hackerbande, die einige Hundert Textdateien mit Zahlungsaufforderungen und einen Verschlüsselungstrojaner auf meinem Rechner hinterlassen hatte. Gerettet hatten mich damals die Dateirechte von Linux. Das fehlende E(x)ecutional-Flag und die eingeschränkten Benutzerrechte hatten den Trojaner ausgebremst.

Admin: /* Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose */

2026-05-27T23:33:14Z

Homeserver-Sicherheitsarchitektur: Aufbau, Funktionsweise und Diagnose

← Nächstältere Version		Version vom 27. Mai 2026, 23:33 Uhr
Zeile 3:		Zeile 3:
	Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.		Einen eigenen Server an's Internet zu bekommen, ist nicht allzu schwierig. Ein Dienst, der die eigene, vom Internet-Provider zugewiesene IP-Adresse in einen festen Domain-Namen umwandelt (siehe: [https://de.wikipedia.org/wiki/Dynamisches_DNS Dynamisches DNS]), wird im privaten Bereich die Voraussetzung sein.
	Es gibt verschiedene Anbieter, oft auch kostenlose.		Es gibt verschiedene Anbieter, oft auch kostenlose.
			Einmal eingerichtet,

	=== Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker ===		=== Ein Leitfaden für selbst gehostete Server mit OPNsense, Managed Switch und Docker ===